Un investisseur en crypto a perdu 2,6 millions de dollars en stablecoins dans deux attaques de phishing presque identiques en l'espace de trois heures, soulignant une menace croissante et sophistiquée dans la finance basée sur la blockchain : les arnaques au transfert zéro.
L'incident, signalé le 26 mai par l'entreprise de sécurité crypto Cyvers, impliquait deux grandes transactions de Tether (USDT) - la première totalisant 843 000 $, suivie quelques heures plus tard d'un second transfert de 1,75 million de dollars. Dans les deux cas, la victime semble avoir succombé à une tactique onchain trompeuse connue sous le nom de transfert de valeur nulle, une méthode de phishing de plus en plus déployée par les escrocs ciblant les habitudes des utilisateurs autour des adresses de portefeuilles.
Cette double perte souligne les limites des interfaces de portefeuille orientées utilisateur actuelles, la montée de l'ingénierie sociale intelligente dans les crimes crypto, et le besoin urgent de solutions de sécurité robustes sur le Web3.
Les transferts de valeur nulle exploitent une faille dans la façon dont les utilisateurs interprètent l'historique des transactions et font confiance aux adresses de portefeuilles. La technique abuse de la fonction transferFrom du standard de jeton ERC-20, qui permet à toute partie d'initier un transfert de jetons sans le consentement de l'utilisateur - si le montant est zéro.
Parce qu'aucun jeton réel n'est déplacé, ces transactions de valeur nulle usurpées ne nécessitent pas de signature numérique de la part du portefeuille cible. Elles sont toutefois enregistrées on-chain, trompant souvent les victimes en leur faisant croire que l'adresse usurpée est une adresse précédemment approuvée.
En effet, les escrocs "empoisonnent" l'historique des transactions d'une victime en injectant des transferts de valeur nulle à l'apparence bénigne qui semblent légitimes. Lorsque la victime effectue ensuite une véritable transaction - peut-être en utilisant l'historique de son portefeuille ou en copiant une adresse avec laquelle elle a déjà interagi - elle peut accidentellement envoyer des fonds à l'adresse usurpée de l'attaquant.
Cet exploit provient et étend une méthode d'attaque connexe appelée empoisonnement d'adresse, où les escrocs envoient de petites quantités de cryptomonnaie à partir d'adresses de portefeuille conçues pour ressembler visuellement aux contacts connus de l'utilisateur. Cela repose généralement sur l'exploitation de la dépendance de l'utilisateur à la correspondance partielle d'adresses - souvent les quatre premiers et derniers caractères - plutôt que de vérifier la chaîne complète.
Phishing Avancé
Le principal danger caché derrière les arnaques au transfert zéro et à l'empoisonnement d'adresse ne réside pas dans la rupture des protocoles cryptographiques mais dans la manipulation du comportement des utilisateurs. Les interfaces de portefeuilles crypto - en particulier les portefeuilles basés sur le navigateur et les applications mobiles - affichent souvent des historiques d'adresse et de transactions passées comme indicateurs de sécurité, de confiance ou d'utilisation précédente. Cela crée une surface d'attaque qui ne dépend pas des vulnérabilités du code, mais plutôt de la prise de décision humaine.
Dans le cas du vol récent de 2,6 millions de dollars, la victime a probablement utilisé l'historique des transactions de son portefeuille pour initier ou vérifier l'adresse, croyant envoyer des fonds à un contact connu ou précédemment approuvé. La répétition de l'attaque en moins de trois heures suggère que la victime n'a pas détecté la perte initiale à temps ou a cru que la première transaction était légitime - les deux scénarios montrent à quel point l'escroquerie peut être furtive et convaincante en temps réel.
Les pertes étaient exclusivement en USDT (Tether), un stablecoin largement utilisé avec des milliards en volume quotidien on-chain. Parce que l'USDT est généralement utilisé dans d'importants transferts institutionnels et de détail, il est devenu une cible de choix pour des arnaques de précision qui se concentrent sur des portefeuilles de haute valeur.
Attaques d'Empoisonnement en Hausse
L'incident n'est pas isolé. Une étude complète publiée en janvier 2025 a révélé que plus de 270 millions de tentatives d'empoisonnement d'adresse ont été enregistrées sur Ethereum et BNB Chain entre juillet 2022 et juin 2024. Bien que seulement 6 000 de ces attaques aient réussi, elles ont collectivement représenté plus de 83 millions de dollars de pertes confirmées.
Le volume considérable de tentatives - réussies ou non - suggère que les stratégies d'empoisonnement sont peu coûteuses à exécuter et restent efficaces en raison des tendances comportementales des utilisateurs et de l'absence d'UX anti-phishing dans les portefeuilles crypto courants.
Notamment, l'ampleur des dommages dans des cas individuels est significative. En 2023, une arnaque similaire au transfert zéro a conduit au vol de 20 millions de dollars en USDT, avant que Tether ne finisse par mettre le portefeuille sur liste noire. Cependant, la mise en liste noire n'est pas une protection universelle - de nombreux jetons ne prennent pas en charge les listes noires d'émetteurs, et tous les réseaux blockchain n'offrent pas d'outils d'intervention similaires.
Outils de Détection IA et Révisions d'Interface
En réponse à la montée des attaques de phishing par transfert zéro, plusieurs entreprises de cybersécurité et d'infrastructure de portefeuille tentent de réduire les risques grâce à des systèmes de détection plus intelligents.
Plus tôt cette année, l'entreprise de sécurité blockchain Trugard s'est associée au protocole de sécurité on-chain Webacy pour introduire un système de détection basé sur l'IA spécifiquement conçu pour signaler les tentatives potentielles d'empoisonnement d'adresse. Selon ses développeurs, l'outil a démontré un taux de précision de 97% lors de tests impliquant des données d'attaques historiques.
Le système fonctionne en analysant les motifs dans les métadonnées des transactions, le comportement des transferts et les similitudes d'adresse, puis en alertant les utilisateurs avant qu'une transaction ne soit finalisée. Cependant, l'adoption plus large dans les portefeuilles populaires reste limitée, de nombreuses plateformes étant encore dans le processus d'intégration d'outils de sécurité tiers.
Certains développeurs de portefeuilles explorent également des changements dans la manière dont les historiques de transactions sont présentés. Par exemple, signaler les transactions de valeur nulle, colorier les adresses en fonction des scores de confiance, et rendre la vérification complète des adresses plus facile sont envisagés comme des moyens d'interrompre les taux de succès des escroqueries. Mais tant que ces changements d'interface ne deviendront pas standardisés dans l'industrie, les utilisateurs resteront exposés.
Zones d'Ombre Légales et Réglementaires
Bien que les arnaques au transfert zéro soient technologiquement simples, les actions en justice contre les auteurs sont complexes et rarement couronnées de succès. Bon nombre de ces escroqueries proviennent d'entités pseudonymes ou étrangères, avec des fonds rapidement blanchis via des échanges décentralisés, des mixeurs ou des ponts inter-chaînes.
Les émetteurs de stablecoins comme Tether ne peuvent intervenir que lorsque des mécanismes de contrôle centralisés existent - et uniquement si les fonds volés restent intacts ou traçables. Une fois que les attaquants déplacent des fonds dans des pools de confidentialité ou les convertissent en d'autres actifs, le recouvrement devient pratiquement impossible.
De plus, les agences de répression manquent souvent de l'expertise technique ou de la portée juridictionnelle pour enquêter sur de telles attaques, à moins qu'elles ne fassent partie de campagnes organisées plus vastes.
La Dernière Ligne de Défense
Pour l'instant, les utilisateurs finaux doivent adopter une vigilance accrue lorsqu'ils interagissent avec des adresses blockchain - en particulier pour les transferts de grande valeur. Les meilleures pratiques incluent :
- Toujours vérifier l'intégralité de l'adresse, pas seulement les premiers/derniers caractères.
- Éviter d'utiliser l'historique du portefeuille pour copier des adresses.
- Mettre en signet manuellement les adresses connues provenant de sources officielles.
- Utiliser des portefeuilles avec détection de phishing intégrée, lorsque disponible.
- Surveiller les transferts entrants de valeur nulle comme signaux d'alerte potentiels.
La montée des attaques de phishing par transfert zéro démontre un déplacement des menaces Web3 des piratages au niveau des protocoles vers des attaques d'ingénierie sociale utilisant les métadonnées on-chain. À mesure que la valeur des actifs sur les blockchains publiques augmente, la sophistication de ces méthodes augmentera aussi - rendant l'éducation des utilisateurs et de meilleurs outils de portefeuilles cruciaux pour protéger les fonds.